Introduzione
La recente campagna di attacchi di Scattered Spider contro le aziende manifatturiere europee ha utilizzato la vulnerabilita' CVE-2025-31324 per compromettere le pipeline di sviluppo e consegna del software. Questo attacco ha messo in luce il rischio di compromissione delle pipeline di sviluppo e consegna del software, che possono essere utilizzate per iniettare codice maligno nella catena di approvvigionamento del software.
La gestione delle patch
Secondo il rapporto di CrowdStrike del 2026, il 42% delle vulnerabilita' sfruttate nel 2025 erano state rese pubbliche prima della loro scoperta. Ciò significa che le aziende devono essere in grado di gestire efficacemente le patch e di applicarle in tempi brevi per ridurre il rischio di compromissione. Il rapporto di IBM del 2025 stima che il costo medio di una violazione dei dati dovuta a una compromissione della catena di approvvigionamento e' di 4,91 milioni di dollari.
La matematica difensiva
Per ridurre il rischio di compromissione, le aziende possono adottare alcune misure difensive, come:
- Implementare un ciclo di patch di 14 giorni per tutti i componenti della pipeline di sviluppo e consegna del software
- Eseguire un'audit di sicurezza dei repository per identificare e rimediare alle vulnerabilita' di accesso non autenticato
- Stabilire un programma di gestione del rischio della catena di approvvigionamento con valutazioni e rapporti regolari
Conclusione
La compromissione della catena di approvvigionamento del software puo' avere conseguenze gravi per le aziende, come il caso di Jaguar Land Rover, che ha subito una chiusura della produzione di 5 settimane a causa di una compromissione della catena di approvvigionamento. E' fondamentale che le aziende adottino misure efficaci per gestire le patch e la sicurezza della catena di approvvigionamento per ridurre il rischio di compromissione